Son servicios destinados a ofrecer formación relativa a la seguridad de la infor­mación. El objetivo es conocer los retos a los que se enfrenta la seguridad y cómo afrontar los desafíos que se presentan, tanto desde el punto de vista técnico como jurídico.

Los servicios de formación y concienciación de la seguridad pueden ser presenciales o a través de eLearning o formación on-line a través de internet que permitan llevar a cabo una formación a distancia.

Podemos encontrar las siguientes subcategorías dentro de los servicios de formación:

• Formación en materia de ciberseguridad (máster, postgrados, especialidades)

Son servicios de formación impartidos por centros autorizados que posibilitan la obtención de títulos académicos en materia de ciberseguridad.

• Certificación profesional

Servicios de formación impartidos por organismos acreditados y certificados, que posibilitan la obtención de títulos específicos (CISA, CISM, CISSP,…) y muy deman­dados en el ámbito profesional.

• Sensibilización y concienciación

Servicios orientados a la sensibilización de los usuarios, creando una conciencia de buenas prácticas y usos de las infraestructuras y los recursos de las organiza­ciones y las empresas.

• Formación técnica en soluciones específicas de ciberseguridad

Son los servicios de formación muy especializada destinados a forman a personal en herramientas y soluciones de seguridad específicas.

Escenarios de uso contemplados para los servicios de formación y concienciación:

• Diseño del plan de formación

Durante esta fase se determinan los objetivos, el alcance de la formación, los re­cursos, plazos y evolución de dicho plan.

• Formación

Fase durante la cual se lleva a cabo la formación y del seguimiento y medida del progreso de la actividad formativa.

• Examen y valoración de los conocimientos adquirido

Se evalúa, si procede, el nivel de aprendizaje y los conocimientos que han asimi­lado los participantes en la formación. En esta fase se obtiene la acreditación en caso de enseñanza reglada o formación para certificación de profesionales.

• Análisis y elaboración de informe

Si procede, sobre todo de cara a formación para empresa, es fundamental realizar un informe de resultados, evaluando la aceptación de la formación por parte de los participantes, de forma que permita una mejora continua de la formación.

Beneficios ofrecidos al negocio por los servicios de formación y concienciación:

• entender y utilizar de manera eficiente todos los recursos que posee la empresa para proteger sus sistemas y cumplir con la legalidad en materia de seguridad;
• optimizar el manejo y funcionamiento de los sistemas de seguridad implantados;
• garantizar el cumplimiento de la legislación y de las políticas de seguridad.

Los servicios de gestión de incidentes de seguridad de la información, están desti­nados a prevenir, detectar y solucionar incidentes de seguridad de la información. Tienen el objetivo de obtener información y ayudar y detectar las amenazas de forma rápida, identificar vulnerabilidades y priorizar riesgos. Permiten llevar la gestión antes, durante y después de cualquier incidente de seguridad.

Los servicios preventivos son la concienciación, la definición de buenas prácticas y po­líticas, definición de planes de contingencia y continuidad. Los servicios de detección de incidentes consisten en la instalación de programas anti-ma/ware, IDS, eventos de seguridad y monitorización de red. Los servicios correctivos son los procedimientos de restauración de backups y auditoría forense.

Podemos encontrar las siguientes subcategorías dentro de los servicios de gestión de incidentes:

• Prevención de incidentes de seguridad

Son servicios destinados a prevenir incidentes de seguridad, para ello se llevan cabo servicios de concienciación, definición de buenas prácticas y políticas de seguridad, definición de planes de contingencia.

• Detección de incidentes de seguridad

Son los servicios destinados a la detección de incidentes de seguridad, consis­ten en la instalación de herramientas de seguridad, anti-ma/ware, IDS, gestión de /ogs y eventos de seguridad.

• Respuesta de incidentes de seguridad

Son servicios destinados a resolver incidentes de seguridad que hayan ocurrido, consisten en procedimientos de restauración de backups, eliminación de ma/ware y auditoría forense.

Escenarios de uso contemplados para los servicios de gestión de incidentes:

• identificación y valoración de incidentes;
• coordinación con fuentes externas;
• investigación forense;
• definición y ejecución de programas y procedimientos de gestión de incidentes;
• desarrollo y mantenimiento de perfiles de configuración de sistemas;
• aislamiento de sistemas y plataformas afectadas;
• asistencia técnica para análisis de eventos;
• elimina las causas de los incidentes y los efectos;
• acciones correctoras;
• recuperación y vuelta al funcionamiento normal;
• soporte preventivo y soporte postincidentes.

Beneficios ofrecidos al negocio por los servicios de gestión de incidentes:

• estar preparado ante incidentes y eventos de seguridad que afecten al negocio.
• rapidez de actuación en caso de incidentes;
• análisis de la causa de incidentes que permite tomar medidas para impedir su repetición;
• garantizar el cumplimiento de la legislación y de las políticas de seguridad.

Son servicios destinados a la planificación, diseño e implantación de infraestructuras y soluciones de ciberseguridad, centrándose en la integración y puesta en marcha de estas infraestructuras y soluciones tecnológicas.

La infraestructura es la base donde descansan todas las herramientas y soluciones que las organizaciones utilizan para desarrollar su actividad. Un buen diseño de la infraestructura permitirá disponer de sistemas de la información seguros, aumen­tando la productividad y la reducción de costes de cualquier empresa u organiza­ción.

Se integran en esta categoría todos aquellos servicios destinados a gestionar infraes­tructuras y soluciones de ciberseguridad.

Podemos encontrar las siguientes subcategorías dentro de los servicios de implantación de infra­estructuras:

• Diseño de soluciones de ciberseguridad

Son servicios destinados para desarrollar soluciones necesarias para tener un ni­vel de seguridad adecuado.

• Implantación de soluciones de ciberseguridad

Servicios para realizar la implantación de soluciones e infraestructuras de seguri­dad en las organizaciones.

• Diseño, implantación y operación de Soluciones de Ciberresiliencia

Son aquellos servicios que tienen la finalidad de proteger y defender el uso del ciberespacio de los atacantes.

• Diseño, implantación y operación de soluciones de ciberseguridad industrial

Son aquellos servicios destinados a incorporar procesos con el fin de garantizar la seguridad en entornos industriales, van desde las auditorías (SCADA) a la implan­tación de planes de ciberseguridad.

Escenarios de uso contemplados para los servicios de implantación de soluciones:

• Consultoría y análisis previo

En esta fase se realiza un análisis del nivel de seguridad de la organización, que puede ser en profundidad o afectar solamente a una parte de la organización.

• Selección de soluciones de seguridad e infraestructuras necesarias

A continuación, a partir de las necesidades detectadas se seleccionan las mejores soluciones de seguridad e infraestructuras.

• Planificación de la implantación tecnológica

Se realiza una planificación de la implantación que se va a realizar, tiempos, cos­tes y otras cuestiones relativas a cómo puede afectar la implantación a los distin­tos procesos de negocio y a la actividad de la organización.

• Implantación de la infraestructura

Fase en la cual se lleva a cabo la instalación, parametrización y puesta en marcha de las soluciones e infraestructuras de seguridad en la organización.

• Elaboración de documentación y formación

Una vez finalizado la fase de implantación, y en ocasiones paralela a esta, se lleva a cabo la elaboración de la documentación y la formación al personal de la orga­nización.

• Gestión y mantenimiento

La gestión y el mantenimiento puede ser un proceso que se realice tanto por per­sonal de la propia organización, como una empresa externa o una combinación de ambos.

• Revisión de la implantación

Finalmente es posible realizar una revisión periódica encaminada a mantener los niveles de seguridad alcanzados y adaptarse a los posibles cambios de la organi­zación con el tiempo.

Beneficios ofrecidos al negocio por los servicios de implantación de soluciones:

• garantía de que la instalación y configuración de las herramientas de seguridad informática es realizada por profesionales;
• garantía de la selección de las herramientas adecuadas para su negocio;
• la empresa se beneficia del conocimiento y experiencia aportada por la consulto­ra;
• se reduce el riesgo asociado a la inversión en tecnología de seguridad al contar con una metodología o con el consejo profesional para su selección.

Seguridad en la nube

Son servicios destinados a la protección de las infraestructuras alojados en la nube «cloud computing», permiten el uso de recursos de hardware, software, almacena­miento y comunicaciones proporcionado a las empresas un servicio adicional de seguridad.

Google Analytics

Estos servicios persiguen reducir las consecuencias de un incidente de seguridad, in­cluso aquellos que ocasionen la interrupción de la actividad de la empresa, permiten diseñar y activar alternativas en caso de incidentes a través de estrategias de recupe­ración y políticas de respaldo.

Podemos encontrar las siguientes subcategorías dentro de los servicios de integración cloud:

• Software como servicio (Software as a Service, SaaS)

Son servicios de despliegue de software en que las aplicaciones y los recursos se han diseñado para ser ofrecidos como servicios bajo demanda, con estructura de servicios llave en mano. Las consideraciones de seguridad son controladas por el proveedor del servicio. El suscriptor del servicio únicamente tiene acceso a la edición de las preferencias y a unos privilegios administrativos limitados.

• Plataforma como servicio (Platform as a Service, PaaS)

Son servicios de entrega bajo demanda, desplegándose el entorno (hardware y software) necesario para ello. El suscriptor del servicio tiene control parcial sobre las aplicaciones y la configuración del entorno ya que la instalación de los entor­nos dependerá de la infraestructura que el proveedor del servicio haya desplega­do. La seguridad se comparte entre el proveedor del servicio y el suscriptor.

• Infraestructura como servicio (Infrastructure as a Service, laaS)

Son servicios en el cual la infraestructura básica de cómputo (servidores, software y equipamiento de red) es gestionada por el proveedor como un servicio bajo demanda, en el cual se pueden crear entornos para desarrollar ejecutar o probar aplicaciones. El suscriptor mantiene generalmente la capacidad de decisión del sistema operativo y del entorno que instala. Por lo tanto, la gestión de la seguri­dad corre principalmente a cargo del suscriptor.

Escenarios de uso contemplados para los servicios de seguridad en la nube:

• Planificación de la implantación tecnológica

Se realiza una planificación de la implantación que se va a realizar, tiempos, cos­tes y otras cuestiones relativas a cómo puede afectar la implantación a los distin­tos procesos.

• Gestión y mantenimiento

La gestión y el mantenimiento puede ser un proceso que se realice tanto por per­sonal de la propia organización, como una empresa externa o una combinación de ambos.

• Servicios de evaluación de la implantación realizada, pruebas del sistema de ges­tión, copias de seguridad, sistemas de respaldo, anti-virus, etc.

Beneficios ofrecidos al negocio por los servicios de formación y concienciación:

• estar preparado ante incidentes y eventos de seguridad que afecten a la empresa;
• rapidez de actuación en caso de incidentes;
• permiten conocer, identificar y analizar los riesgos y vulnerabilidades, pudiendo reducir así sus impactos;
• permiten mejorar los procesos de negocio desde el punto de vista de la seguri­dad y la gestión.

DESCRIPCIÓN – ¿Qué es?

Son servicios que permiten a las empresas externalizar procesos, infraestructuras y personal de seguridad, de forma que sea una empresa especializada en materia de seguridad la que se encargue de dicha actividad de forma local o en remoto.

La externalización de servicios de seguridad consiste en la subcontratación de actividades propias de seguridad o actividades que garantizan la seguridad de la información en las empresas. Normalmente la empresa descarga la respon­sabilidad de los servicios de seguridad a una empresa especializada la cual se encarga de garantizar la seguridad mediante contrato, y reportando a través de informes, logs (registros de actividad de los equipos) o paneles de monitoriza- ción y seguimiento.

Podemos encontrar las siguientes subcategorías dentro de los servicios de seguridad gestionada:

• Seguridad Gestionada

Son servicios de externalización total o parcial de la infraestructura de seguridad, llevando a cabo la gestión, supervisión y administración. Puede realizarse in situ o de forma remota.

• Outsourcing de personal

Son servicios de externalización de personal de seguridad, puede realizarse in situ o de forma remota.

• Externalización de servicios

Son aquellos servicios que se contratan a terceros para la realización de activida­des relacionadas con el mantenimiento de los sistemas y procesos de cualquier entidad.

Escenarios de uso contemplados para los servicios de soporte y mantenimiento:

• Definir los servicios de seguridad a externalizar

La organización o empresa que desea externalizar alguna de sus actividades de seguridad, evalúa que procesos, infraestructuras y personal que puede externali­zar, desde múltiples puntos de vista, como pueden ser costes, complejidad en la administración y gestión, personal necesario, etc.

• Proyecto de externalización

Se trata de evaluar el proyecto, los participantes y los detalles de la prestación de servicios, los niveles de servicios necesarios, etc.

• Prestador de servicios

En esta fase se trata de establecer y seleccionar el prestador de servicios, o el tipo de prestador de servicios necesario para cubrir las necesidades identificadas y los niveles de servicio deseados.

• Revisión y nivel de servicio

A lo largo del mantenimiento del contrato con el prestador de servicios, se realiza una revisión y un análisis del nivel de servicio ofrecido y alcanzado, para detectar deficiencias o posibles mejoras, tanto en los servicios como en el nivel de servicio ofrecido.

Beneficios ofrecidos al negocio por los servicios de soporte y mantenimiento:

• la empresa se beneficia del conocimiento y experiencia aportada por la empresa externa que le proporcionará eficiencia y rendimiento de los sistemas de seguri­dad subcontratados;
• se reduce el riesgo asociado a la inversión en tecnología de seguridad;
• permite a la empresa enfocarse en la gestión de las actividades fundamentales del negocio;
• aumento de la disponibilidad de los sistemas y de su fiabilidad. Horario 24×7;
• utilización de las últimas tecnologías de seguridad aplicables a las necesidades particulares de cada organización.